野猪大改造

Ring 0级固件威胁：新型UEFI rootkit恶意软件BlackLotus曝光_我的网站

凤凰男

一 | 快科技8月25日消息，据国内媒体最新报道，全球头部存储芯片厂商SK海力士的淘宝天猫官方旗舰店已经下架了店内全部在售商品。最近引发广泛讨论的“BlackLotus”，属于一款相当全能的固件级 rootkit 恶意软件。

二 | 特点是能够躲过各种删除操作，以及绕过先进的 Windows 防护措施。

三 | 此前这类高级攻击能力，仅被拥有深厚背景的机构所拥有，比如情报威胁组织。

四 | 然而据报道，一款更新、更强大的 UEFT rootkit，正被人挂到暗网论坛上叫卖。

五 | “防护环”示意（图自：Wikipedia / Hertzsprung）卖家宣称 BlackLotus 是一款固件级 rootkit 恶意软件，能够绕过 Windows 防护措施、并在 x86 架构的最底层运行恶意代码。率先曝光此事的安全研究人员指出，单个 rootkit 的许可证费用高达 5000 美元，而后续代码重建则只需 200 美元。

六 | 不过考虑到卖家罗列出来的功能，即使需要耗费重资，世界各地的网络犯罪分子和黑帽黑客也会趋之若鹜。Scott Scheferman 总结道：BlackLotus 采用了汇编与 C 语言编写，体量仅 80KB（约 81920 字节）。通过在内核级别（ring 0）提供‘代理防护’（agent protection），该 rootkit 能够在 UEFI 固件中长期驻留。店铺主页已经对外公示，拟于2026年9月9日自主终止经营，目前普通消费者已经无法通过淘宝平台的站内搜索功能直接找到该店铺的页面。不少此前在这家店铺下单购买过内存条、固态硬盘等存储类产品的消费者，得知店铺即将关店的消息后纷纷产生顾虑，担心店铺正式关停之后，自己手里仍在质保期内的产品无法正常享受官方承诺的售后维保服务。

七 | 截至本次报道发稿前，天猫平台上还有一家名为SKHY的相关店铺仍在正常运营，这家店铺对外公示的运营主体为天津海利士科技有限公司。

八 | 工商信息显示，这家公司成立于2020年7月，注册资本为100万元，经营范围覆盖技术服务、机械设备销售等多个品类，目前没有公开信息能够佐证这家公司和SK海力士总部存在直接的官方从属关系，双方的具体关联情况目前还未有明确的官方说明。此外 BlackLotus 具有反虚拟机、反调试和代码混淆功能，以阻碍研究人员对其展开分析尝试，且附带功能齐备的安装指南 / 常见问题解答。。

九 | 黑市叫卖帖与同类 rootkit 一样，BlackLotus 能够在 Windows 启动前的第一阶段被加载，因而能够绕过 Windows / x86 平台上的诸多安全防护措施。除了无视 Secure Boot、UAC、BitLocker、HVCI 和 Windows Defender，该恶意软件还提供了加载未签名驱动程序的能力。其它高级功能包括功能齐备的文件传输模式、以及易攻破的签名引导加载程序 —— 除非影响当今仍在使用的数百个引导加载程序，否则很难将它斩草除根。